آموزشامنیت و حریم خصوصی در اینترنت
پسکی: ورود بی رمز
جواب کوتاه
پسکی (Passkey)، که توی خیلی از برنامه‌ها به فارسی بهش می‌گن «کلید عبور»، یه روش ورود بی رمزه: به جای تایپ رمز، با اثر انگشت، چهره یا قفل صفحه‌ی گوشی وارد می‌شید. پشتش یه جفت کلیده: سایت فقط یه «قفل» نگه می‌داره که لو رفتنش اهمیتی نداره، و «کلید» فقط توی گوشی یا مدیر رمز شماست و هیچ‌وقت فرستاده نمی‌شه. چون هر پسکی به اسم دقیق یه سایت بسته‌ست، روی سایت جعلی اصلا کار نمی‌کنه، و چیزی هم نیست که کلاهبردار بتونه ازتون بپرسه. ساختنش رایگانه و توی مدیر رمز گوگل، برنامه‌ی Passwords اپل، Bitwarden یا KeePassXC نگه داشته می‌شه.
ورودی که رمز نداشت
مثلا فرض کنید می‌خواید وارد ایمیلتون بشید. اسمتون رو می‌زنید، گوشی می‌گه «انگشتتون رو بذارید»، و تموم. نه رمزی تایپ کردید، نه کدی منتظر موندید. این پس‌کیه. و جالب اینکه این ورود ساده‌تر، از همه‌ی روش‌هایی که توی درس‌های قبل دیدیم امن‌تره.
توی درس‌های این ایستگاه دیدیم رمز، هر چقدر هم خوب، یه مشکل اساسی داره: یه رازه که آدم می‌دونه، پس آدم می‌تونه گول بخوره و بدش به کسی. ورود دومرحله‌ای یه قفل دوم گذاشت، ولی دیدیم کد شش رقمی رو هم صفحه‌ی جعلی می‌تونه بگیره. پسکی این مشکل رو از ریشه حل می‌کنه: رازی نیست که شما بدونید، پس رازی هم نیست که بدید. این درس می‌گه چطور.
اسم‌هاش
اسم انگلیسیش Passkeyه، از Pass، یعنی «عبور»، و Key، یعنی «کلید». برای همین توی خیلی از برنامه‌های فارسی بهش «کلید عبور» می‌گن و فارسی‌زبون‌ها هم «پسکی» یا «پسکی» جستجوش می‌کنن. اگه توی تنظیمات یه برنامه گزینه‌ی «کلید عبور» یا Passkey دیدید، همینه. پشتش یه استاندارد باز به اسم FIDO2 هست که یه گروه از شرکت‌های بزرگ به اسم FIDO Alliance، یعنی «اتحاد فایدو»، ساختن، و بخشی که توی مرورگر کار می‌کنه رو WebAuthn، کوتاه‌شده‌ی Web Authentication، یعنی «احراز هویت وب»، می‌گن.
همین که استاندارد بازه، مهمه: پسکی مال یه شرکت نیست. پس‌کی‌ای که توی گوگل ساختید، روی آیفون و ویندوز و هر مرورگر به‌روزی کار می‌کنه.
قفل و کلید
وقتی برای یه سایت پسکی می‌سازید، گوشی یه جفت کلید می‌سازه که با هم جورن. یکیش مثل یه قفل باز، و یکیش کلید همون قفل:
قفل، که بهش می‌گن کلید عمومی (Public Key)، به سایت داده می‌شه. اپل توی راهنماش صاف می‌گه این کلید عمومی راز نیست. اگه سایت فردا هک بشه و همه‌ی قفل‌ها بیرون بریزه، هیچ اتفاقی نمیفته، چون با قفل نمی‌شه در رو باز کرد. کلید، که بهش می‌گن کلید خصوصی (Private Key)، فقط توی گوشی یا مدیر رمز شما می‌مونه، و طبق همون راهنما، سرور هیچ‌وقت نمی‌فهمه کلید خصوصی چیه.
این رو با رمز مقایسه کنید. توی درس رمز خوب دیدیم سایت چکیده‌ی رمز رو نگه می‌داره، و اگه فهرست چکیده‌ها لو بره، کلاهبردار می‌تونه رمزهای ضعیف رو حدس بزنه. با پسکی، چیزی برای حدس زدن نیست. به این روش، که دو کلید جدا داره، می‌گن رمزنگاری کلید عمومی (Public Key Cryptography)؛ همونیه که پشت قفل سبز https هم کار می‌کنه.
معمای هر بار
خب، اگه کلید هیچ‌وقت فرستاده نمی‌شه، سایت از کجا می‌فهمه کلید دست شماست؟ با یه معما:
موقع ورود، سایت یه عدد تازه و تصادفی می‌فرسته، که بهش می‌گن چالش (Challenge). گوشی، بعد از اینکه با اثر انگشت یا چهره مطمئن شد خود شمایید، اون عدد رو با کلید خصوصی «امضا» می‌کنه و امضا رو برمی‌گردونه. سایت با قفل، یعنی کلید عمومی، چک می‌کنه که این امضا فقط می‌تونه کار همون کلید باشه. کلید جایی نرفت، ولی سایت مطمئن شد پیش شماست.
چون معما هر بار تازه‌ست، اگه یکی امضای دیروز رو هم دزدیده باشه، امروز به دردش نمی‌خوره. این برخلاف رمزه که اگه یه بار دیده بشه، تا عوض نشه، همیشه کار می‌کنه.
اسم سایت روی کلید
مهم‌ترین ویژگی پسکی اینه که هر کلید، برای اسم دقیق یه سایت ساخته می‌شه، و گوشی خودش، نه آدم، اسم سایت رو چک می‌کنه:
صفحه‌ی جعلی هر چقدر هم شبیه باشه، روی یه دامنه‌ی دیگه‌ست. وقتی از گوشی پسکی می‌خواد، گوشی دنبال کلیدی برای همون اسم می‌گرده و پیدا نمی‌کنه. نه چیزی امضا می‌شه، نه چیزی فرستاده می‌شه. حتی اگه شما کاملا گول خورده باشید و فکر کنید توی سایت درستید، پسکی گول نمی‌خوره. یادتونه توی درس ورود دومرحله‌ای، صفحه‌ی جعلی کد شش رقمی رو می‌گرفت و همون لحظه توی سایت واقعی می‌زد؟ با پسکی، اصلا چیزی برای گرفتن نیست.
گوگل هم توی راهنماش همینو می‌گه: پسکی، برخلاف رمز، نه شریک می‌شه، نه کپی می‌شه، نه نوشته می‌شه، نه اشتباهی به کسی داده می‌شه، و برای همین در برابر فیشینگ امن‌تره.
اثر انگشت از گوشی بیرون نمی‌ره
خیلی‌ها نگرانن که با پسکی، اثر انگشت یا عکس صورتشون به گوگل یا یه سایت فرستاده بشه. نمی‌شه. اثر انگشت فقط برای این استفاده می‌شه که گوشی بفهمه خود شمایید و کلید رو باز کنه؛ همون کاری که برای باز کردن قفل صفحه می‌کنه. راهنمای گوگل صاف نوشته داده‌ی اثر انگشت و چهره روی دستگاه می‌مونه و هیچ‌وقت با گوگل شریک نمی‌شه.
اگه دوست ندارید از اثر انگشت استفاده کنید، قفل صفحه، مثلا یه عدد یا الگو، هم همین کار رو می‌کنه. یعنی پسکی در واقع دو مدرک رو با هم داره: چیزی که دارید، گوشی، و چیزی که هستید یا می‌دونید، اثر انگشت یا قفل صفحه.
پسکی کجا نگه داشته می‌شه
پسکی دو جور نگه داشته می‌شه، و فرقشون وقتی معلوم می‌شه که گوشی گم بشه:
- همگام‌شونده. پسکی توی یه مدیر رمز، مثل مدیر رمز گوگل، iCloud Keychain اپل یا Bitwarden، نگه داشته می‌شه و قفل‌شده روی همه‌ی دستگاه‌هاتون میاد. اپل می‌گه iCloud Keychain با کلیدهایی رمزگذاری سرتاسری می‌شه که خود اپل نمی‌دونه. اگه گوشی گم بشه، پس‌کی‌ها روی گوشی تازه برمی‌گردن.
- وابسته به یه دستگاه. پسکی فقط روی همون یه دستگاه یا کلید امنیتیه. راهنمای گوگل هشدار می‌ده اگه پسکی رو توی Windows Hello یا فقط توی پروفایل کروم ذخیره کنید، با گم شدن کامپیوتر یا نصب دوباره‌ی ویندوز، دیگه برنمی‌گرده.
برای بیشتر آدم‌ها، پسکی همگام‌شونده بهتره؛ فقط حسابی که پس‌کی‌ها توش همگام می‌شن، یعنی گوگل یا اپل یا Bitwarden، باید خودش محکم باشه.
مدیرهای رمز رایگان و پسکی
همون مدیرهای رمز رایگانی که توی درس مدیر رمز گفتیم، پسکی هم نگه می‌دارن:
- مدیر رمز گوگل. روی اندروید و کروم، پس‌کی‌ها رو کنار رمزها نگه می‌داره و بین دستگاه‌ها همگام می‌کنه.
- برنامه‌ی Passwords اپل. با iCloud Keychain روی آیفون، آیپد و مک.
- Bitwarden. طبق راهنمای خودش، توی افزونه‌ی مرورگر و برنامه‌ی گوشی پسکی ذخیره و پر می‌کنه، با همون رمزگذاری سرتاسری؛ روی آیفون از iOS 17 به بعد.
- KeePassXC. طبق راهنمای خودش، با افزونه‌ی مرورگرش از پسکی پشتیبانی می‌کنه.
وقتی یه سایت پیشنهاد ساختن پسکی می‌ده، گوشی یا مرورگر می‌پرسه کجا نگهش داره. همون مدیر رمزی رو انتخاب کنید که رمزهاتون توشه، تا همه‌چیز یه جا باشه.
چی لازمه
طبق راهنمای گوگل، برای پسکی این‌ها لازمه، که بیشتر گوشی‌ها و کامپیوترهای چند سال اخیر دارن:
- گوشی با اندروید ۹ یا iOS 16 به بالا؛ کامپیوتر با ویندوز ۱۰، macOS Ventura یا ChromeOS 109 به بالا.
- مرورگر کروم یا اج ۱۰۹، سافاری ۱۶، یا فایرفاکس ۱۲۲ به بالا.
- قفل صفحه‌ی گوشی روشن باشه؛ بی قفل صفحه، پسکی ساخته نمی‌شه.
- روی آیفون و مک، iCloud Keychain روشن باشه.
- برای ورود به کامپیوتر با پسکی گوشی، بلوتوث روشن باشه.
و یه نکته‌ی ساده: سایت هم باید پسکی رو قبول کنه. گوگل، مایکروسافت، اپل و خیلی از سرویس‌های بزرگ قبول می‌کنن، ولی هنوز همه‌ی سایت‌ها نه. طبق یه نظرسنجی که اتحاد FIDO سال ۲۰۲۴ انجام داد، ۵۳ درصد آدم‌ها دست‌کم روی یکی از حساب‌هاشون پسکی روشن کرده بودن.
ساختن پسکی برای گوگل
حساب گوگل جای خوبیه برای اولین پسکی، چون کلید خیلی چیزهای دیگه‌ست. طبق راهنمای گوگل:
- روی گوشی یا کامپیوتر خودتون، نشانی myaccount.google.com/signinoptions/passkeys رو باز کنید.
- دکمه‌ی Create a passkey رو بزنید.
- قفل دستگاه رو باز کنید؛ با اثر انگشت، چهره یا قفل صفحه.
- برای هر دستگاه دیگه‌ای که دارید، همین کار رو روی خود اون دستگاه تکرار کنید.
گوگل می‌گه اضافه کردن پسکی، هیچ‌کدوم از راه‌های ورود و بازیابی قبلی رو عوض یا پاک نمی‌کنه؛ رمزتون هنوز هست. فقط از این به بعد، گوگل اول پسکی رو پیشنهاد می‌ده. اگه گوگل یه پسکی مشکوک ببینه، خاموشش می‌کنه و بهتون خبر می‌ده، و ۳۰ روز وقت دارید تایید کنید خودتون ساختیدش.
پسکی توی سایت‌های دیگه
توی سایت‌ها و برنامه‌های دیگه هم کار تقریبا یه شکله، فقط اسم دکمه‌ها فرق می‌کنه. معمولا توی تنظیمات حساب، بخش امنیت یا ورود، یه گزینه هست مثل «ساختن کلید عبور»، «افزودن پسکی» یا Create a passkey. می‌زنیدش، گوشی یا مرورگر می‌پرسه پسکی رو کجا نگه داره، قفل دستگاه رو باز می‌کنید، و تموم. بعضی سایت‌ها هم خودشون، درست بعد از اینکه با رمز وارد شدید، یه پنجره نشون می‌دن که «می‌خواید دفعه‌ی بعد بی رمز وارد بشید؟».
موقع ورود هم یا یه دکمه‌ی «ورود با کلید عبور» هست، یا وقتی روی جای اسم کاربری می‌زنید، بالای کیبورد یا زیر کادر، پیشنهاد پسکی میاد. اگه پیشنهاد پسکی نیومد، با اینکه مطمئنید براش پسکی ساختید، این خودش یه زنگ خطره، مثل مدیر رمز که روی سایت جعلی رمز پر نمی‌کنه: اول نشانی رو بخونید.
ورود از کامپیوتر با گوشی
اگه روی یه کامپیوتر پسکی ندارید، می‌تونید با پسکی گوشی واردش بشید:
- توی صفحه‌ی ورود کامپیوتر، اسم کاربری رو بزنید و گزینه‌ای مثل «راه دیگه» یا Use your passkey رو انتخاب کنید.
- یه کیوآرکد روی صفحه‌ی کامپیوتر میاد. با دوربین گوشی بخونیدش.
- بلوتوث گوشی روشن باشه؛ گوشی و کامپیوتر از راه بلوتوث مطمئن می‌شن کنار همن.
- روی گوشی، ورود رو با اثر انگشت یا قفل صفحه تایید کنید.
اون بلوتوث فقط برای راحتی نیست؛ یه قفل امنیتیه. کلاهبرداری که از راه دور یه کیوآرکد برای شما بفرسته و بگه «اسکنش کنید»، کنار گوشی شما نیست، پس بلوتوث بهش نمی‌رسه و ورود انجام نمی‌شه.
چند تا پسکی
برای یه حساب می‌شه چند تا پسکی داشت، و خوبه که داشته باشید. اگه پس‌کی‌ها توی یه مدیر رمز همگام‌شونده‌ان، یکی کافیه، چون روی همه‌ی دستگاه‌ها میاد. ولی اگه دستگاه‌هاتون قاطین، مثلا گوشی اندروید و مک، یا یه پسکی هم روی یه کلید امنیتی دارید، برای هر کدوم یه پسکی جدا بسازید. این‌طوری اگه یکی از دسترس خارج شد، بقیه هنوز کار می‌کنن. توی تنظیمات حساب، هر پسکی با اسم جایی که توش ساخته شده دیده می‌شه، که پاک کردنش بعدا راحت باشه.
اگه گوشی گم شد
- اگه پس‌کی‌ها همگام می‌شدن، روی گوشی یا دستگاه دیگه‌تون هنوز هستن؛ از اونجا وارد بشید.
- اگه نه، با رمز و مرحله‌ی دوم، یا کدهای بازیابی، وارد بشید؛ پسکی راه‌های قبلی رو پاک نکرده بود.
- طبق راهنمای گوگل، پسکی دستگاه گم‌شده یا دزدیده‌شده رو از حساب پاک کنید (بخش بعد).
- روی گوشی تازه، پسکی تازه بسازید.
اپل هم توی راهنماش می‌گه حتی اگه همه‌ی دستگاه‌ها گم بشن، پس‌کی‌های iCloud Keychain با راه بازیابی حساب برمی‌گردن، و پیشنهاد می‌کنه یه «مخاطب بازیابی» (Recovery Contact) تعیین کنید، یه آدم مطمئن که اگه رمز حساب اپل یا قفل گوشی یادتون رفت، کمکتون کنه برگردید.
پاک کردن پسکی
برای گوگل، طبق راهنماش: حساب گوگل، بخش Security & sign-in، زیر «How you sign in to Google»، گزینه‌ی Passkeys and security keys. اونجا فهرست پس‌کی‌ها رو می‌بینید و می‌تونید هر کدوم رو پاک کنید. وقتی یه گوشی یا کامپیوتر رو می‌فروشید یا می‌دید به کسی، پیش از اون، پس‌کی‌هاش رو از حساب‌ها پاک کنید و دستگاه رو کامل به تنظیمات کارخونه برگردونید.
یه نکته‌ی دیگه: پاک کردن پسکی از مدیر رمز، اون رو از سایت پاک نمی‌کنه، و برعکس. اگه یه پسکی رو جایی پاک کردید، از جای دیگه هم پاکش کنید تا فهرست‌ها با هم بخونن. گوگل گاهی خودش خبر می‌ده که یه پسکی دیگه کار نمی‌کنه چون سایت پاکش کرده.
پسکی و ورود دومرحله‌ای
وقتی با پسکی وارد حساب گوگل می‌شید، مرحله‌ی دوم پرسیده نمی‌شه. راهنمای گوگل دلیلش رو می‌گه: پسکی خودش نشون می‌ده دستگاه دست شماست و می‌تونید بازش کنید، یعنی خودش دو مدرک داره. این از ضعف نیست؛ پسکی از رمز به‌علاوه‌ی کد شش رقمی هم امن‌تره، چون روی سایت جعلی کار نمی‌کنه.
ولی ورود دومرحله‌ای رو خاموش نکنید. هنوز رمز هست، و هر کی که بخواد با رمز وارد بشه، باید مرحله‌ی دوم رو هم رد کنه. پسکی یه در تازه و امن‌تر اضافه می‌کنه، درهای قدیمی رو برنمی‌داره. درس ورود دومرحله‌ای همینو گفت.
پس‌کی‌ای که خودش ساخته می‌شه
اگه یه وقت دیدید یه اعلان اومده که «برای فلان سایت پسکی ساخته شد» و خودتون کاری نکرده بودید، نترسید. طبق راهنمای گوگل، وقتی با رمزی که توی مدیر رمز گوگل ذخیره شده وارد یه سایت می‌شید، ممکنه سایت خودش برای شما یه پسکی بسازه، و مدیر رمز گوگل بهتون خبر می‌ده. اگه این کار رو نمی‌خواید، توی تنظیمات مدیر رمز گوگل، گزینه‌ی Automatically create a passkey to sign in faster رو خاموش کنید.
ولی اگه برای حساب گوگل خودتون، یه پسکی توی فهرست دیدید که نمی‌شناسید و اسم دستگاهش آشنا نیست، جدیش بگیرید: پاکش کنید و رمز رو عوض کنید.
پسکی و حریم خصوصی
این مسیر درباره‌ی امنیت و حریم خصوصی، هر دوئه، و پسکی برای حریم خصوصی هم چند تا خبر خوب داره. اول، برای هر سایت یه جفت کلید کاملا جدا ساخته می‌شه. یعنی دو تا سایت نمی‌تونن قفل‌هاشون رو کنار هم بذارن و بفهمن هر دو مال یه نفرن؛ برخلاف وقتی که یه ایمیل و یه رمز رو همه‌جا استفاده می‌کنید. دوم، اثر انگشت و چهره هیچ‌وقت به سایت نمی‌رسه، پس هیچ سایتی پرونده‌ای از بدن شما نمی‌سازه. سوم، چون رمزی نیست، سایت هم رمزی نداره که روزی لو بره و کنار ایمیلتون توی یه فهرست فروخته بشه.
چیزی که پسکی عوض نمی‌کنه، اینه که سایت هنوز می‌دونه شما کی وارد شدید، از کجا و با چه دستگاهی. پسکی ورود رو امن می‌کنه، نه اینکه کار شما رو از دید خود سایت پنهان کنه. درس امنیت و حریم خصوصی یعنی چی همین فرق رو گفت.
شریک شدن پسکی
گفتیم پسکی رو نمی‌شه نوشت یا به کسی گفت. ولی گاهی واقعا لازمه یه حساب مشترک بمونه، مثل حساب قبض خونه یا یه سرویس خانوادگی. اپل توی راهنمای برنامه‌ی Passwords می‌گه با «گروه مشترک» (Shared Group) می‌شه رمزها و پس‌کی‌ها رو با خانواده و آدم‌های مطمئن شریک شد، و یه پسکی تکی رو هم با AirDrop امن فرستاد. این کار با فرستادن رمز توی پیام‌رسان خیلی فرق داره: پسکی قفل‌شده از یه مدیر رمز به یه مدیر رمز دیگه می‌ره و جایی بی قفل نوشته نمی‌شه.
ولی همون قانون همیشگی: حساب‌های شخصی، مثل ایمیل و بانک خودتون، شریک نمی‌شن. برای حساب مشترک هم، اگه سایت اجازه می‌ده، بهتره هر نفر پسکی خودش رو روی دستگاه خودش بسازه، تا اگه یکی گوشیش رو گم کرد، فقط پسکی همون یکی پاک بشه.
بردن پسکی به یه مدیر رمز دیگه
رمز رو همیشه می‌شد از یه مدیر رمز بیرون آورد و توی یکی دیگه برد، با همون فایل خروجی که توی درس مدیر رمز گفتیم. پسکی تا مدتی این‌طور نبود: چون کلید خصوصی قرار نیست جایی بی قفل نوشته بشه، هیچ فایل خروجی ساده‌ای براش نبود، و اگه مدیر رمز عوض می‌کردید، باید برای هر سایت پسکی تازه می‌ساختید. اتحاد FIDO برای همین یه استاندارد تازه به اسم Credential Exchange، یعنی «جابه‌جایی مدرک ورود»، ساخته که پس‌کی‌ها رو قفل‌شده از یه مدیر رمز به یکی دیگه می‌بره، و کم‌کم داره به مدیرهای رمز میاد.
تا وقتی مدیر رمزتون این امکان رو نداره، راه ساده همونه: توی مدیر رمز تازه، برای هر سایت یه پسکی تازه بسازید، و پسکی قدیمی رو از تنظیمات حساب همون سایت پاک کنید. برای همین، پیش از اینکه کلی پسکی بسازید، با حوصله یه مدیر رمز انتخاب کنید که بخواید باهاش بمونید.
حساب کاری و مدرسه
اگه حساب گوگلتون رو محل کار یا مدرسه داده، طبق راهنمای گوگل ممکنه نتونید فقط با پسکی وارد بشید، چون مدیر اون سازمان تصمیم می‌گیره. ولی معمولا هنوز می‌تونید پسکی رو به‌عنوان مرحله‌ی دوم یا راه بازیابی بسازید. اگه پسکی کار نکرد، با مدیر فنی همون سازمان حرف بزنید، نه با یه «پشتیبان» که خودش بهتون پیام داده.
یه نکته‌ی دیگه برای حساب کاری: پسکی حساب کاری رو روی گوشی شخصی بسازید فقط اگه سازمان اجازه داده، و وقتی از اون کار رفتید، پس‌کی‌اش رو از گوشیتون پاک کنید.
چیزهایی که پسکی حل نمی‌کنه
- گوشی آلوده. اگه یه برنامه‌ی مخرب کنترل گوشی رو داشته باشه، وقتی خودتون قفل رو باز می‌کنید، ممکنه کاری بکنه. درس برنامه‌ی جعلی.
- راه‌های بازیابی. اگه رمز قدیمی و کد پیامکی هنوز روی حساب‌ان، کلاهبردار می‌تونه از همون درها بیاد. حساب با پسکی، هنوز رمز قوی و راه بازیابی امن لازم داره.
- فریب بیرون از ورود. پسکی جلوی اینکه کسی شما رو قانع کنه پول بفرستید یا یه برنامه نصب کنید، نمی‌گیره. درس مهندسی اجتماعی.
- سایت‌هایی که هنوز ندارن. برای این‌ها همون رمز جدا از مدیر رمز و ورود دومرحله‌ای.
باورهای غلط
چون پسکی تازه‌ست، چند تا حرف غلط هم درباره‌ش زیاد شنیده می‌شه. یکیش اینه که «پسکی همون ورود با اثر انگشته». نه؛ اثر انگشت فقط قفل گوشی رو باز می‌کنه، کار اصلی رو اون جفت کلید انجام می‌ده. خیلی از برنامه‌های بانکی هم ورود با اثر انگشت دارن، ولی پشتشون هنوز یه رمز ذخیره‌شده روی گوشیه، نه پسکی.
یکی دیگه اینه که «اگه یکی اثر انگشتم رو کپی کنه، به همه‌ی حساب‌هام می‌رسه». برای این کار، اول باید خود گوشی شما دستش باشه؛ اثر انگشت به‌تنهایی، بدون گوشی، هیچ دری باز نمی‌کنه. و سومی اینه که «پسکی یعنی گوگل یا اپل همه‌ی حساب‌هام رو کنترل می‌کنن». پس‌کی‌ها توی مدیر رمز رمزگذاری سرتاسری می‌شن و اگه نخواید، می‌تونید توی یه مدیر رمز متن‌باز مثل Bitwarden یا KeePassXC نگهشون دارید.
کیوآرکد جعلی
چون ورود از کامپیوتر با کیوآرکد انجام می‌شه، کلاهبردارها ممکنه سعی کنن یه کیوآرکد ورود بفرستن و بگن «برای تایید حسابتون، اینو با گوشی اسکن کنید». درس فیشینگ با کیوآرکد همین ترفند رو گفت. اینجا دو تا محافظ دارید: یکی بلوتوث، که بدون نزدیک بودن گوشی و کامپیوتر ورود رو انجام نمی‌ده؛ دوم یه قانون ساده: کیوآرکد ورود رو فقط وقتی اسکن کنید که خودتون، همون لحظه، پشت همون کامپیوتر دارید وارد می‌شید. کیوآرکدی که کسی برای شما فرستاده، هیچ‌وقت.
از کجا اومد
اتحاد FIDO سال ۲۰۱۳ با این هدف درست شد که دنیا رو از رمز آزاد کنه. اول، کلیدهای امنیتی سخت‌افزاری اومدن که همین روش قفل و کلید رو داشتن ولی باید یه وسیله‌ی جدا همراهتون می‌بود. بعد استاندارد WebAuthn اومد که مرورگرها رو باهاش آشنا کرد. قدم بزرگ سال ۲۰۲۲ بود: اپل، گوگل و مایکروسافت با هم اعلام کردن که این کلیدها رو توی خود گوشی و مدیر رمز می‌ذارن و بین دستگاه‌ها همگام می‌کنن، و اسم Passkey رو روش گذاشتن. از اون به بعد، پسکی دیگه وسیله‌ی جدا نمی‌خواست، فقط همون گوشی که توی جیب همه هست.
امروز، با اینکه هنوز همه‌ی سایت‌ها پسکی ندارن، هر سال تعداد بیشتری اضافه می‌شن. هر جا گزینه‌ش رو دیدید، روشنش کنید؛ هر پسکی یعنی یه رمز کمتر که ممکنه لو بره.
اشتباه‌های رایج
- «پسکی اثر انگشتم رو برای گوگل می‌فرسته.» اثر انگشت روی گوشی می‌مونه؛ فقط قفل کلید رو باز می‌کنه.
- «روی کامپیوتر محل کار پسکی ساختم.» هر کی قفل اون کامپیوتر رو باز کنه، وارد حساب شما می‌شه.
- «پسکی دارم، رمز و دومرحله‌ای رو ول کردم.» درهای قدیمی هنوز بازن؛ محکمشون نگه دارید.
- «یکی کیوآرکد فرستاد گفت اسکن کن.» کیوآرکد ورود رو فقط خودتون، پشت همون کامپیوتر.
- «گوشی رو فروختم، پس‌کی‌ها رو پاک نکردم.» پیش از فروش، از حساب‌ها پاکشون کنید و گوشی رو به تنظیمات کارخونه برگردونید.
- «پسکی رو فقط توی Windows Hello گذاشتم.» ویندوز دوباره نصب بشه، دیگه برنمی‌گرده؛ یه پسکی همگام‌شونده هم بسازید.
آخرین بررسی راهنمای رسمی گوگل، اپل، FIDO Alliance، مایکروسافت، Bitwarden، تلگرام، واتساپ و ایکس: ۲۴ مهر ۱۴۰۵.
جمع‌بندی. آنچه از این درس با خودتان می‌برید.
- پسکی یعنی ورود با اثر انگشت یا قفل گوشی، به جای رمز.
- سایت فقط قفل رو داره؛ کلید هیچ‌وقت از گوشی یا مدیر رمز شما بیرون نمی‌ره.
- هر پسکی به اسم دقیق یه سایت بسته‌ست؛ روی سایت جعلی کار نمی‌کنه.
- پسکی رو فقط روی دستگاه خودتون بسازید؛ هر کی قفل اون دستگاه رو باز کنه، وارد حساب می‌شه.
- پس‌کی‌ای که همگام می‌شه، با گم شدن گوشی گم نمی‌شه؛ پسکی دستگاه گم‌شده رو از حساب پاک کنید.
خودتون رو بسنجید
۱۵ پرسش، هر بار تازه از میان ۳۰ پرسش این درس. آخرش فقط کارنامه رو می‌بینید: چند تا درست، چند تا نادرست.